Une carte de fidélité collecte des données personnelles : le prénom du client, son numéro de téléphone, parfois son e-mail et sa date d'anniversaire, et l'historique de ses passages. Le commerçant en est responsable au sens du Règlement général sur la protection des données (RGPD). Voici ce qu'il doit faire, et ce que l'outil peut prendre en charge. Pour une vue d'ensemble du sujet, lisez notre guide de la carte de fidélité.
Les 6 obligations d'un commerce qui propose une carte de fidélité
1. Une base légale : le contrat, pas le consentement
Gérer le programme de fidélité d'un client qui s'y inscrit relève de l'exécution du contrat, comme le rappelle le référentiel de la CNIL sur la gestion commerciale. Le consentement n'est nécessaire que pour la prospection : envoyer des offres par e-mail ou par SMS. Il doit alors être donné à part, par une case non pré-cochée. La CNIL précise que l'acceptation des conditions générales ne suffit pas.
Sur le formulaire d'inscription HanyPass, le client coche une case obligatoire pour accepter les conditions d'utilisation et la politique de confidentialité. Une seconde case, séparée et facultative, lui propose de recevoir vos offres par e-mail, avec une désinscription en un clic.
2. Ne collecter que le nécessaire
C'est le principe de minimisation. Pour une carte de fidélité, le prénom et le numéro de téléphone suffisent : le numéro sert à retrouver la carte d'un client en caisse quand il ne l'a pas sur lui. L'e-mail et la date d'anniversaire restent facultatifs. L'adresse postale, la date de naissance complète ou la profession n'ont rien à faire dans un programme de fidélité.
3. Informer vos clients
Le client doit savoir qui traite ses données, pourquoi, combien de temps et comment exercer ses droits. Le formulaire HanyPass renvoie vers les conditions d'utilisation et la politique de confidentialité. Indiquez aussi en caisse ou sur votre site comment vous joindre pour toute demande.
4. Encadrer votre prestataire
Un logiciel de fidélité traite les données pour votre compte : c'est un sous-traitant, et l'article 28 du RGPD impose un contrat entre vous. Chez HanyPass, cet accord de sous-traitance fait partie des conditions générales d'utilisation, que vous acceptez à l'inscription. La liste des sous-traitants est publiée.
5. Savoir où vont les données
La base de données HanyPass (comptes, cartes, historique de fidélité) est hébergée dans l'Union européenne, chez Supabase, sur des serveurs AWS en Irlande. Certains prestataires indispensables traitent des données aux États-Unis : Apple, Google et Samsung pour les cartes Wallet, Stripe pour le paiement, Resend pour les e-mails et hCaptcha contre les robots. Ces transferts sont encadrés par les clauses contractuelles types de la Commission européenne, ou par le Data Privacy Framework lorsque le prestataire y adhère.
6. Répondre aux demandes de vos clients
Un client peut demander à consulter, corriger ou effacer ses données. Vous avez un mois pour répondre, délai prolongeable de deux mois pour une demande complexe (article 12 du RGPD). Dans HanyPass, vous retrouvez sa fiche dans votre fichier client, et vous supprimez sa carte et tout son historique depuis le scanner (Options client, puis Supprimer). La suppression se fait de votre côté : le client n'a pas de bouton pour effacer lui-même ses données.
Les erreurs les plus fréquentes
Noyer le consentement dans les conditions générales
Une seule case « J'accepte les conditions » ne vaut pas accord pour recevoir des offres. Séparez les deux, et ne pré-cochez jamais la case des offres.
Conserver les données indéfiniment
La durée de conservation doit rester cohérente avec l'usage : trois ans après le dernier passage est une durée raisonnable pour un programme de fidélité. HanyPass n'anonymise pas les cartes automatiquement : faites régulièrement le tri dans les cartes inactives depuis le scanner.
Revendre ou partager le fichier
Les données de votre programme servent votre programme. Pas de cession à d'autres commerçants, pas de transmission à des plateformes publicitaires.
La liste de contrôle en 8 points
- Une case obligatoire pour les conditions, et une case séparée, non pré-cochée, pour les offres par e-mail ou SMS.
- Une information claire : qui traite les données, pourquoi, et comment vous joindre.
- Un accord de sous-traitance avec votre prestataire.
- Une base hébergée dans l'Union européenne et des transferts hors UE encadrés.
- Seulement les données nécessaires : prénom et téléphone, le reste facultatif.
- Une réponse aux demandes des clients sous un mois.
- Un tri régulier des cartes inactives.
- Aucune revente ni aucun partage du fichier.
Avec HanyPass, les points 1, 3, 4 et 5 sont couverts par la conception de l'outil. Les points 2, 6, 7 et 8 dépendent de vos pratiques ; le fichier client et la suppression depuis le scanner vous aident pour les points 6 et 7.
Que risquez-vous ?
Le RGPD prévoit des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83). Pour les dossiers simples, la CNIL peut recourir à une procédure de sanction simplifiée, dont l'amende est plafonnée à 20 000 €. Elle peut aussi prononcer un rappel à l'ordre ou une injonction de se mettre en conformité.
En résumé
Le RGPD n'empêche pas de lancer une carte de fidélité : il demande de collecter peu, d'informer clairement et de respecter les demandes de vos clients. Un outil conçu pour cela couvre la partie technique ; l'usage que vous faites des données reste votre responsabilité. Une carte papier anonyme échappe à ces questions, mais elle ne vous apprend rien sur vos clients : voyez le comparatif carte de fidélité papier ou digitale. Pour choisir la mécanique de votre carte, lisez aussi carte à tampons ou à points.
Créez votre carte de fidélité gratuitement : formule Découverte jusqu'à 100 clients, sans carte bancaire.